Вирус Эбола. [email protected] [Trojan.Win32.Yakes.hfpt ]

[undea_d]

Выполнено согласно инструкции http://virusinfo.info/content.php?r=136-pravila

AVZ - virusinfo_syscure.zip архива нет (Если у Вас 64-разрядная или серверная операционная система, выполнять п.1 данного раздела не следует. Переходите сразу к п.2. )

[Info_bot]

Уважаемый(ая) undea_d, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Здравствуйте!

Внимание !!! База поcледний раз обновлялась 23.02.2014 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)

Обновите базы AVZ.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 QuarantineFile('C:\PROGRA~3\mspqylk.exe','');
 DeleteFile('C:\PROGRA~3\mspqylk.exe','32');
 RegKeyResetSecurity('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','3436257673');        
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

[undea_d]

Все что было выше сделано
+
два новых файла

[mike 1]

Выполните еще раз скрипт из 3 сообщения. Потом сделайте новые логи.

[undea_d]

Выполните еще раз скрипт из 3 сообщения. Потом сделайте новые логи.

Сделал все по новой(и дрвеб отключен и админские права есть).
Здесь пишу с другго компьютера, не с зараженного.

[mike 1]

AVZ перед выполнением скрипта из 3 сообщения так запускали?

Вложение 510825

[undea_d]

AVZ перед выполнением скрипта из 3 сообщения так запускали?

Вложение 510825

Да конечно. и 2 и 3 раз все проделывал как по правилам

[mike 1]

1. Скачайте Universal Virus Sniffer (uVS)
2. Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
   
   !!!Внимание. Если у вас установлены архиваторы WinRAR или 7-Zip, то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.
4. Дождитесь окончания работы программы и прикрепите лог к посту в теме.
   
   !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".

[undea_d]

1. Скачайте Universal Virus Sniffer (uVS)
2. Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
   
   !!!Внимание. Если у вас установлены архиваторы WinRAR или 7-Zip, то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.
4. Дождитесь окончания работы программы и прикрепите лог к посту в теме.
   
   !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".

По своему незнанию, когда только столкнулся с этой проблемой, сразу проверил автозагрузку и оттуда удалил авто запуск с темповский файлов, в названиях которых было ebola. Поторопился?

[mike 1]

По своему незнанию, когда только столкнулся с этой проблемой, сразу проверил автозагрузку и оттуда удалил авто запуск с темповский файлов, в названиях которых было ebola. Поторопился?

Там скорее всего была сама картинка, которая загружалась при старте Windows.

[undea_d]

Там скорее всего была сама картинка, которая загружалась при старте Windows.

Да, поэтому и полез туда. Вот лог от поста выше. Комп заражен серьезно. Почти все doc. jpeg. и т.п.

[mike 1]

1. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
   

   ;uVS v3.83 [http://dsrt.dyndns.org]
   ;Target OS: NTv6.1
   v383c
   breg
   
   addsgn 1A9A549A5583348CF42BC4BD0CC0CB4525628DD789FA9C1D61C34EC958ED44180B56C3201C3F99A14AA5849F1F952C067D89001A78DAB075A43240E882FADC8C 8 Trojan.Win32.Yakes.hecw
   
   zoo %SystemDrive%\PROGRAMDATA\MSPQYLK.EXE
   bl 5032361529F21606737F453F572CFF71 92672
   delall %SystemDrive%\PROGRAMDATA\MSPQYLK.EXE
   zoo %SystemDrive%\USERS\ADMIN\APPDATA\LOCAL\TEMP\KB03282760.EXE
   unload %SystemDrive%\USERS\ADMIN\APPDATA\LOCAL\TEMP\KB03282760.EXE
   delall %SystemDrive%\USERS\ADMIN\APPDATA\LOCAL\TEMP\KB03282760.EXE
   chklst
   delvir
   
   czoo
   restart

4. В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
5. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер может быть перезагружен.
6. После выполнения скрипта в папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте новый лог uVS.

[undea_d]

1. отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

отправил

Сделайте новый лог uVS.

сделал

[mike 1]

1. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
   

   ;uVS v3.83 [http://dsrt.dyndns.org]
   ;Target OS: NTv6.1
   v383c
   zoo %SystemDrive%\PROGRAMDATA\MSPQYLK.EXE
   addsgn 1A9A549A5583348CF42BC4BD0CC0CB4525628DD789FA9C1D61C34EC958ED44180B56C3201C3F99A14AA5849F1F952C067D89001A78DAB075A43240E882FADC8C 8 Trojan.Win32.Yakes.hecw
   
   bl 5032361529F21606737F453F572CFF71 92672
   delall %SystemDrive%\PROGRAMDATA\MSPQYLK.EXE
   czoo
   restart

4. В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
5. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер может быть перезагружен.
6. После выполнения скрипта в папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте новый лог uVS.

[undea_d]

Загрузил+выкладываю новый лог

[mike 1]

1. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
   

   ;uVS v3.83 [http://dsrt.dyndns.org]
   ;Target OS: NTv6.1
   v383c
   breg
   
   sreg
   zoo %SystemRoot%\SYSWOW64\NETHOST.EXE
   delall %SystemRoot%\SYSWOW64\NETHOST.EXE
   bl 5032361529F21606737F453F572CFF71 92672
   delall %SystemDrive%\PROGRAMDATA\MSPQYLK.EXE
   regt 20
   czoo
   areg

4. В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
5. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер может быть перезагружен.
6. После выполнения скрипта в папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте новый лог uVS.

[undea_d]

и то и то

[mike 1]

Скачайте ComboFix здесь и сохраните в корень диска С.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.

2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe

[undea_d]

Убивал дрвеб согласно ссылки, но combofix все равно ругался.

лог файл во вложении